「.env見るな」は通じない－AI時代のシークレット管理術

LLMはシステム指示とユーザー入力・外部コンテンツをフラットなコンテキストとして処理するため、巧妙な表現でその境界が崩されるアーキテクチャ上の制約がある。特に `print(os.environ.get('API_KEY'))` のような自然なデバッグコードに見える攻撃は検知が難しい。最優先の対策は `.env` ファイルを撤廃し、AWS Secrets ManagerやHashiCorp Vaultなどを使って実行時のみシークレットを注入する設計にすること。補助的にClaude Codeの `.claudeignore` 設定やPlan Modeの活用、auto-acceptモードの無効化も有効だが、これらは根本対策ではない。最終的には「漏洩しない」より「漏洩しても被害を最小化する」発想へ転換し、短命トークン・IP制限・最小権限の3点セットを組み合わせることが重要だ。

• •「禁止命令で守る」設計は根本的に脆弱：LLMはプロンプトインジェクションによりシステム指示を上書きされる可能性があり、自然なデバッグコードに見せかけた攻撃は特に検知困難
• •最優先対策は `.env` ファイルの撤廃：AWS Secrets Manager・HashiCorp Vault・direnv等を活用し、シークレットをAIの動作環境に存在させない構成にする（ファイルが存在しなければ読まれない）
• •多層防御で被害を最小化：`.claudeignore` や Plan Mode・auto-accept無効化などClaude Code固有の設定を補助策とし、さらにDockerサンドボックス化・短命トークン・IP制限・最小権限スコープを組み合わせる